Az, amit egy megrendelő vagy biztosító kér, egy része előkészíthető saját maga által: az áttekintés arról, hogy mely személyes adatokat kezel, ezekhez mely eszközöket használ, és milyen megállapodások vannak a szállítókkal. Amit nehezebb saját magának elvégezni, az az áttekintés naprakészen tartása és annak alátámasztása, hogy a meghozott intézkedések ténylegesen megfelelőek az ön által kezelt adatokhoz. Ez utóbbi olyan szerkezetet igényel, amely az idő múlásával fejlődik, nem pedig pillanatképet.
Az, hogy a saját kezdeményezés elegendő-e, nagymértékben attól függ, hogy pontosan mit kérnek. A biztosító, amely alapvető biztonsági intézkedésekre vonatkozó kérdőívet küld, más, mint a közbeszerzési szerv, amely teljes adatkezelési nyilvántartást, adatkezelési szerződéseket és DPIA-t (data protection impact assessment) szeretne látni. Minél részletesebb a kérés, annál több munkát igényel annak saját kezdeményezésből rendszerre hozatala és fenntartása.
Amit a megrendelő vagy biztosító valójában kér
Az "igazolja, hogy betartja az GDPR-t" kérdés a gyakorlatban ritkán létezik szó szerint így. Általában konkrét dokumentumok után kérdeznek: egy adatkezelési nyilvántartás, a szállítókkal kötött adatkezelési szerződések igazolása, a technikai és szervezeti intézkedések leírása, és néha az adatsérülések kezeléséről szóló nyilatkozat. A GDPR maga kötelezi a szervezeteket, hogy számot tudjanak adni az általuk végzett adatkezelésekről; amit egy adott megrendelő vagy biztosító ezen felül kér, az egy saját, kiegészítő követelmény, amely felenként eltérhet.
Ezért fontos, hogy először világosan megtudja, pontosan mit kérnek, mielőtt eldöntené, hogy az önálló megoldás mennyibe kerül. Egy rövid kérdőív néhány óra munka segítségével megválaszolható; a teljes audit szerkezeti dokumentációt igényel.
Mit lehet saját magának előkészíteni
Az első felmérés a legtöbb vállalkozó számára saját maguk által végezhető: mely SaaS-eszközöket használ, közülük mely kezelnek személyes adatokat, és van-e minden szállítótól adatkezelési szerződése. A biztonsági intézkedések alapvetően leírása — jelszókezelési szabályzat, ki fér hozzá mely rendszerekhez, vannak-e biztonsági másolatok — józan ésszel, külső segítség nélkül elkészíthető. tudásbázisban, témánként magyarázattal helyzetre vonatkozóan rövid választ és a hivatkozást a hivatalos szövegben adja, hogy tudja, honnan ered egy követelmény, mielőtt hozzá kezd.
Akik kétségben vannak abban, hogy egy múltban bejelentett adatsérülést kellett volna-e bejelenteni, ezt saját maguk is ellenőrizhetik: néhány kérdésben megtudhatják, hogy nagyjából hol tartanak egy első jelzést ad, függetlenül attól, hogy az adott eset valamikor be lett-e jelentve vagy sem.
Hol válik nehézségessé az önálló megoldás
Az összetettség általában nem egyetlen dokumentumban rejlik, hanem azok összefüggésében és aktualitásában. Az egy éve készített, azóta nem frissített adatkezelési nyilvántartás már elavult egy új SaaS-eszköz vagy megváltozott szállító esetén. Az adatkezelési szerződések, amelyeket valamikor aláírt, összhangban kell lenniük azzal, amit jelenleg ténylegesen az adott szállítóval végez. A biztosító vagy a közbeszerzési szerv pedig gyakran nem csak az okmányok meglétét kéri, hanem egy konzisztens narratívát: nyilvántartást, szerződéseket és intézkedéseket, amelyek logikusan összhangban vannak egymással.
Éppen az a fenntartás az, amely az önálló nyilvántartástartás során sok KKV-vállalkozásból sok időt emészt fel. Egy olyan rendszer, amely a nyilvántartást egy ismert eszközök könyvtárából tölti fel, és amely figyeli, hogy az adatkezelési szerződések még helyesek-e, átveszi ezt a fenntartást anélkül, hogy Ön magának jogász kellene lennie.
Mi marad, még ha önmaga is végzi el
Egyetlen eszköz sem helyettesíti az Ön végső ítéletét: Ön maga dönt arról, hogy mit közöl az ügyfélnek vagy a biztosítónak, és hogy az megfelel-e az előírt követelménynek. A struktúra és az értelmezés azonban jelentősen megkönnyítheti a munkát. A oldalon, ahonnan az információ származik, bemutatjuk, hogy a gdpria.eu hogyan alapozza meg tartalmait az AVG-n és az Európai Adatvédelmi Testület (EDPB) valamint a holland Adatvédelmi Hatóság iránymutatásain, megadva a forrásokat, hogy ne kelljen bennünkben bíznia, hanem saját maga olvashassa el a forrásokat.
A gyakorlatban húzódó határ
Általános szabályként: egy egyszeri, korlátozott kérdés gyakran saját magától választható meg egy nap kutatómunkával. Amint folyamatos nyilvántartásról, több beszállítóról eltérő adatfeldolgozási megállapodásokkal, vagy több ügyfél ismétlődő kérdéseiről van szó, a karbantartás lesz a szűk keresztmetszet, nem az első alkalommal való összeállítás. Ezen a ponton a külső szolgáltatónak vagy tanácsadónak való kiszervezés gyakran kevésbé luxus, és inkább az idő visszaszerzésének módja.
Kíváncsi, hogy az Ön helyzetében mekkora különbséget jelentene? Végezze el az ingyenes gyorsfelülvizsgálatot vagy böngésszen az ezzel a témával kapcsolatos gyakran feltett kérdések között hogy meglátsa, melyik lépés a legmegfelelőbb az Ön számára.